Проверить ввод для обнаружения вредоносных значений в MongoDB

Question

Я работаю над проектом с уязвимой инъекцией MongoDB Nosql.

      var query = "this.user == '" + req.user._id + "' && this.scooter.name.toLowerCase().includes('" + search + "')";  

 .........
Reservation.find({$where: query})

Как отфильтровать ввод пользователя в параметре «поиск», не нарушая запроса?

         var query = "this.user == '" + req.user._id + "' && this.scooter.name.toLowerCase().includes('" + search + "')";
   query = query2.replace(/'\)/g, '');

Я пробовал это, но это не сработало.